Rank Math 1.0.277.2 : le « Support Agent » IA suspendu après la polémique

L’essentiel

• Rank Math 1.0.277 créait un mot de passe d’application WordPress à l’ouverture du panneau « Help & Support », sur les sites reliés à un compte rankmath.com.
• Ce mot de passe, nommé « WAP – Rank Math Support Agent », héritait des droits de l’utilisateur connecté, donc de ceux d’un administrateur le cas échéant.
• La version 1.0.277.2 retire le Support Agent et ne génère plus de nouvel identifiant.
• Rank Math reconnaît un manque de clarté et promet une demande d’accès préalable quand la fonction reviendra.

Un mot de passe d’application créé dès l’ouverture de l’aide

L’alerte vient de Sybre Waaijer, développeur de l’extension concurrente The SEO Framework, dans un message publié sur X. Search Engine Journal a détaillé ses constats le 30 août 2026. Le mécanisme décrit est le suivant : quand un administrateur dont le site est relié à un compte gratuit rankmath.com ouvre l’onglet « Help & Support », l’extension génère un mot de passe d’application à son nom. Celui-ci part ensuite vers les serveurs de group.one, la société qui possède aussi WP Rocket, pour qu’un agent IA puisse s’en servir sur le site. Le code en cause se trouve dans une bibliothèque groupone/wap-client embarquée dans l’extension.

D’après Sybre Waaijer, l’identifiant n’expire pas, la fermeture de l’onglet ne le révoque pas et l’agent ne peut pas être désactivé. Une case « Terms & Conditions » s’affiche bien. Elle n’empêche pourtant ni la création ni l’envoi du mot de passe, puisque le transfert démarre avant même qu’elle apparaisse. Sa formule : l’extension « ne demande jamais d’abord » (traduction).

Le développeur relève que cette même version 1.0.277 corrigeait une douzaine de failles de sécurité. Il rappelle avoir déjà qualifié un cas comparable de porte dérobée, et laisse cette fois le lecteur trancher. Pour rappel, les mots de passe d’application sont une fonction native de WordPress. Leur attribution à une extension passe normalement par un écran où l’utilisateur donne son accord, et les règles du répertoire WordPress.org interdisent à une extension de contacter des serveurs externes sans consentement « explicite et autorisé » (traduction). Selon Sybre Waaijer, Rank Math revendique plus de 4 millions de sites.

Rank Math reconnaît un consentement mal expliqué

L’éditeur a répondu dans un article de sa base de connaissances, « Why the Rank Math Support Agent Is Temporarily Paused » (pourquoi le Support Agent est suspendu temporairement). Il y présente le Support Agent, introduit avec la version 1.0.277, comme une première étape vers ce qu’il appelle l’« Agentic SEO » : donner à l’IA la capacité d’agir concrètement sur un site. Rank Math écrit que l’utilisateur « doit être informé clairement et directement de ce qui se passe et de ce qu’il autorise » (traduction). Il juge la critique « fondée » et dit « assumer la responsabilité » d’une présentation plus claire (traduction).

La version 1.0.277.2 retire l’agent. À partir de cette version, aucun nouvel identifiant n’est créé. Rank Math défend en revanche le dispositif technique : selon lui, les identifiants étaient chiffrés, ni stockés ni conservés de son côté, et utilisés seulement pendant une session active avec l’agent. Toujours selon l’éditeur, l’agent fonctionnait en lecture seule, ne pouvait rien modifier sur le site et n’allait jamais au-delà du rôle de l’utilisateur courant. Ces affirmations viennent de Rank Math et n’ont pas été vérifiées de façon indépendante.

Un retour annoncé, sans date

Le Support Agent reviendra, d’après Rank Math, une fois le parcours de demande d’accès reconstruit. L’extension devra alors réclamer l’accès en termes simples avant de créer le moindre identifiant, avec une confirmation à chaque fois. Search Engine Journal a relayé cette suspension le 31 août 2026. Aucune date de retour n’est donnée.

Un point reste flou. La page de Rank Math ne dit pas si la mise à jour supprime les mots de passe déjà créés par la version 1.0.277 ; elle indique seulement qu’aucun nouvel identifiant n’est généré. SEJ rappelle par ailleurs qu’il exclut Rank Math de sa liste d’extensions WordPress recommandées en raison de son historique de sécurité : sept vulnérabilités recensées en 2024, quatre en 2025 et trois depuis le début de 2026.

Ce que j’en retiens

Le problème ne tient pas à la technique, puisque les mots de passe d’application sont un mécanisme prévu par WordPress. Il tient à l’ordre des opérations : un accès de niveau administrateur créé et envoyé à un tiers avant que l’utilisateur ait compris ce qu’il accepte. Vu le parc revendiqué par l’extension, je conseille de traiter le sujet tout de suite plutôt que d’attendre la prochaine mise à jour automatique.

Concrètement, passez en 1.0.277.2 ou plus récent, puis ouvrez Utilisateurs > Profil > Mots de passe d’application pour chaque compte administrateur. Révoquez toute entrée qui commence par « WAP – », comme le recommande Sybre Waaijer. WordPress affiche pour chaque entrée la date de dernière utilisation et la dernière IP, ce qui permet de voir si l’accès a servi. Une agence qui gère plusieurs sites doit refaire la vérification sur chacun. Quand l’agent reviendra, je regarderai de près le texte de la nouvelle demande d’accès, et surtout s’il précise la durée de validité de l’identifiant créé.